IPA、「2024年度中小企業における情報セキュリティ対策の実態調査報告書」の速報版を公開

　情報処理推進機構（IPA）は、「2024年度中小企業における情報セキュリティ対策の実態調査報告書」の速報版を2月14日に公開した。同調査は、全国の中小企業4191社に対して、2024年10月25日〜11月6日の期間に行われている。

　調査対象の企業のうち、2023年度に「サイバーインシデントの被害を受けた」と答えた企業に、その影響を尋ねたところ（複数回答）、「データの破壊」が35.7％、「個人情報の漏えい」が35.1％だった。過去3期に発生したサイバーインシデントで生じた被害額の平均は73万円で、100万円以上の被害額だった企業は9.4％、過去3期内で10回以上のサイバーインシデント被害に遭った企業は1.7％、復旧までに要した期間の平均は5.8日で、50日以上を要した企業は2.1％となっている。

サイバーインシデントによる影響で生じた被害

　2023年度に「サイバーインシデントの被害を受けた」と答えた企業のうち、「不正アクセス被害を受けた」と答えた企業に、不正アクセス被害につながったサイバー攻撃の手口を尋ねた質問（複数回答）では、「脆弱性（セキュリティパッチの未適用など）を突かれた」（48.0％）がもっとも多く、「ID・パスワードをだまし取られた」（36.8％）、「取引先やグループ会社等を経由して侵入」（19.8％）がそれに続いた。

自社が受けたサイバー攻撃の手口

　不正アクセスによる被害の内容としては（複数回答）、「自社Webサイトのサービス停止、または機能が低下させられた」（22.9％）が最多となり、以下「業務サーバのサービス停止、または機能が低下させられた」（20.3％）、「自社Webサイトの改ざん」（16.5％）、「業務サーバ内容の改ざん」（15.5％）、「第三者によるなりすまし」（13.4％）が続いている。

サイバー攻撃によって受けた被害

　2023年度に「サイバーインシデントの被害を受けた」と答えた企業のうち、「サイバーインシデントにより取引先（サプライチェーン）に影響があった」とする回答が約7割を占めた。サイバーインシデントによる取引先への影響を尋ねたところ（複数回答）、「取引先にサービスの停止や遅延による影響が出た」が36.1％、「個人顧客への賠償や法人取引先への補償負担の影響が出た」が32.4％、「原因調査・復旧に関わる人件費等の経費負担があった」が23.2％となっている。

サイバーインシデントによる取引先（サプライチェーン）への影響

　情報セキュリティ対策の体制について尋ねた質問では、「専門部署がある」（9.3％）は前回調査と比較してわずかに増加した一方で、「兼務担当者が任命されている」は減少し、「組織的対策を行っていない（各自の対応）」が増加して、その割合は約7割に達した。

情報セキュリティ対策はどのような体制で行われているか

　直近過去3期の情報セキュリティ対策投資額（IT機器や社員への教育なども含む）の概算としては、「情報セキュリティ対策投資をしていない」が62.6％に達し、2016年度調査（55.2％）、2021年度調査（33.1％）からさらに増加している。

直近過去3期の情報セキュリティ対策投資額

　直近過去3期で、「情報セキュリティ対策投資をしていない」と答えた企業に、その理由を尋ねたところ、「必要性を感じていない」（44.3％）がもっとも多く、「費用対効果が見えない」（24.2％）、「コストがかかりすぎる」（21.7％）がそれに続いた。

直近過去3期に情報セキュリティ対策投資を行っていない理由

　調査対象の企業のうち、情報セキュリティ対策の必要性を感じている企業（2203社）に情報セキュリティ関連製品やソフトウェアを導入しているかを尋ねた質問（複数回答）では、「ウイルス対策ソフト・サービスの導入」が80.0％に達したほか、フィルタリングや資産管理製品の導入が拡大している。また、クライアントPCの設定管理製品も導入が増加しており、データ保護への関心と投資が顕著に高まるとともに、さまざまなセキュリティ製品が導入されつつあることが明らかになった。

情報セキュリティ関連製品・ソフトウェアの導入状況

　取引先（発注元企業）から、情報セキュリティ対策に関する要請を受けた経験がある企業（511社）に、取引先（発注元企業）から要請された情報セキュリティ対策を行ったことが、取引先との取引につながった大きな要因だと思うかを尋ねたところ、「取引につながった大きな要因だと思う」とする回答は42.1％となっている。

取引先（発注元企業）から要請された情報セキュリティ対策を行ったことが、取引先との取引につながった大きな要因だと思うか

　取引先（発注元企業）から要請された情報セキュリティ対策を行ったことが、取引先との取引につながった大きな要因だと思うかを尋ねた質問に対する回答を、情報セキュリティ対策投資の有無でみると、過去に情報セキュリティ対策投資を行っている企業の49.8％が、発注元からの要請でサイバーセキュリティ対策を行ったことが「取引につながった」と回答した。それに対して、情報セキュリティ対策投資を行っていない企業では、「取引につながった」とする回答は27.4％に留まっている。

取引先（発注元企業）から要請された情報セキュリティ対策を行ったことが、取引先との取引につながった大きな要因だと思うか（情報セキュリティ対策投資別）

　「サイバーセキュリティお助け隊サービス」を導入した企業（102社）に、導入してよかった点を尋ねたところ（複数回答）、「ワンパッケージでの情報セキュリティ対策」が56.9％、「導入が容易」が55.9％、「コスト削減」が36.3％となった。

「サイバーセキュリティお助け隊サービス」を導入してよかった点

　なお、詳細な報告書は4月頃の公開を予定している。